Jangan Tertipu Email yang Terlihat Seperti Notifikasi Biasa

Jangan Tertipu Email yang Terlihat Seperti Notifikasi Biasa – Sebuah email masuk dengan pemberitahuan bahwa Anda menerima pesan suara baru, ada dokumen yang harus diperiksa, atau terdapat aktivitas tertentu pada layanan yang biasa digunakan.

Tidak ada kesalahan ejaan yang mencolok. Logo perusahaan terlihat benar. Bahkan nama layanan yang digunakan memang Anda kenal. Tanpa banyak berpikir, Anda mungkin akan mengkliknya.

Inilah situasi yang terus dimanfaatkan dalam serangan email phising.

Pada Agustus 2026, peneliti keamanan mengungkap kampanye phising yang menargetkan pengguna Microsoft 365 dengan menyamar sebagai email dari RingCentral, layanan komunikasi bisnis.

Email menggunakan berbagai umpan, termasuk pemberitahuan pesan suara dan informasi terkait penilaian kinerja. Korban kemudian diarahkan menuju halaman login Microsoft 365 palsu untuk mencuri kredensial.

Kampanye tersebut menggunakan platform phishing-as-a-service bernama Greatness, yang juga dilaporkan mampu mencuri token autentikasi multifaktor (MFA).

Kasus ini memberikan satu pelajaran penting:

Email phising tidak harus terlihat mencurigakan untuk menjadi berbahaya.

Ketika Email Memanfaatkan Kebiasaan

Penyerang memahami bahwa pengguna terbiasa menerima berbagai notifikasi melalui email. Notifikasi rapat, pesan suara, dokumen, perubahan password, aktivitas akun, hingga pemberitahuan pekerjaan semuanya merupakan bagian dari rutinitas digital.

Karena sudah terbiasa, pengguna cenderung tidak memeriksa setiap email secara mendalam. Penyerang memanfaatkan kebiasaan tersebut dengan membuat pesan yang terlihat seperti bagian dari aktivitas sehari-hari.

Dalam kasus kampanye yang menyamar sebagai RingCentral, email dirancang agar penerima merasa memiliki alasan untuk segera membuka pesan dan mengikuti tautan yang diberikan. Setelah itu, korban diarahkan menuju halaman yang menyerupai halaman login Microsoft 365.

Jika kredensial dimasukkan, informasi tersebut dapat jatuh ke tangan penyerang. Yang lebih berbahaya, teknik modern tidak selalu berhenti pada pencurian password.

Password Saja Tidak Lagi Menjadi Target

Dahulu, tujuan utama email phising sering kali cukup sederhana: mendapatkan username dan password.

Sekarang, penyerang semakin tertarik mendapatkan token sesi atau token autentikasi.

Mengapa?

Karena pengguna mungkin sudah menggunakan MFA.

Jika penyerang hanya mendapatkan password, mereka masih dapat terhalang oleh lapisan autentikasi tambahan. Namun, teknik tertentu memungkinkan penyerang mencoba mendapatkan informasi autentikasi yang dapat digunakan untuk mempertahankan akses terhadap sesi korban.

Inilah alasan mengapa keberadaan MFA bukan berarti pengguna boleh mengabaikan email phising.

MFA tetap sangat penting, tetapi pengguna harus memahami bahwa:

Password tetap harus dijaga.
Permintaan MFA yang tidak pernah Anda lakukan harus dicurigai.
Jangan pernah menyetujui permintaan autentikasi yang tidak Anda mulai sendiri.
Perhatikan aktivitas login yang tidak dikenal.
Gunakan metode MFA yang kuat dan tahan terhadap phising jika tersedia.

Email Phising Masih Beroperasi dalam Skala Besar

Kasus RingCentral bukan kejadian terisolasi.

Microsoft melaporkan bahwa pada 14–15 Juni 2026, mereka mendeteksi sebuah kampanye email phising yang menargetkan lebih dari 107.000 pengguna di hampir 19.000 organisasi. Targetnya tersebar di berbagai sektor, termasuk layanan keuangan, teknologi, serta retail dan consumer goods.

Angka tersebut menunjukkan bahwa email phising masih menjadi salah satu cara efektif bagi penyerang untuk menjangkau korban dalam jumlah besar.

Pada kuartal pertama 2026 saja, Microsoft Threat Intelligence mendeteksi sekitar 8,3 miliar ancaman phising berbasis email.

Dengan jumlah sebesar itu, email phising bukan lagi sekadar masalah yang dihadapi oleh pengguna yang dianggap kurang berhati-hati.

Siapa pun dapat menjadi target.

Tiga Hal yang Harus Diperiksa

Ketika menerima email yang meminta Anda melakukan sesuatu, jangan langsung mengikuti instruksinya.

Gunakan tiga pemeriksaan sederhana:

1. Apakah Saya Memang Menunggu Email Ini?

Jika email mengatakan Anda menerima pesan suara, dokumen, undangan, atau pemberitahuan tertentu, tanyakan apakah memang ada aktivitas yang sesuai.

Jika tidak ada alasan yang jelas mengapa pesan tersebut datang, tingkatkan kewaspadaan.

2. Apakah Saya Perlu Mengklik Tautannya?

Tidak semua aktivitas akun harus dilakukan melalui tautan dalam email.Jika Anda ingin memeriksa akun Microsoft, misalnya, buka aplikasi atau website resmi secara manual melalui bookmark atau alamat yang sudah Anda ketahui.

Jangan menjadikan email sebagai satu-satunya jalan menuju akun.

3. Apa yang Akan Saya Berikan?

Ini pertanyaan yang paling penting. Sebelum memasukkan password, kode autentikasi, atau menyetujui permintaan akses, tanyakan:

Apa sebenarnya yang akan saya berikan kepada pihak di balik halaman ini? Jika jawabannya adalah kredensial atau akses ke akun penting, jangan terburu-buru.

Jangan Panik Ketika Email Mendesak

Email phising sering memanfaatkan tekanan psikologis.

Beberapa contohnya:

“Pesan penting menunggu Anda.”
“Akun akan dibatasi.”
“Segera lakukan verifikasi.”
“Dokumen membutuhkan persetujuan Anda.”
“Aktivitas mencurigakan terdeteksi.”
“Password Anda akan kedaluwarsa.”

Tujuannya sederhana, membuat korban bertindak sebelum berpikir. Karena itu, ketika sebuah email meminta tindakan segera, justru perlambat tindakan Anda.

Berhenti.
Baca ulang.
Periksa pengirim.
Periksa konteks.
Kemudian lakukan verifikasi melalui kanal resmi.

Bagaimana Jika Sudah Terlanjur Memasukkan Password?

Jangan menunggu sampai terjadi sesuatu, segera lakukan langkah berikut:

Ubah password melalui website atau aplikasi resmi, bukan melalui tautan dari email tersebut.
Jika password yang sama digunakan pada layanan lain, segera ubah juga.
Periksa aktivitas login dan keluarkan sesi yang tidak dikenal.
Periksa pengaturan keamanan akun, termasuk metode MFA dan perangkat yang memiliki akses.
Cabut akses aplikasi yang tidak dikenal jika terdapat aplikasi pihak ketiga yang mencurigakan.
Laporkan email tersebut kepada administrator atau tim keamanan.
Jika digunakan dalam lingkungan perusahaan, segera beri tahu tim IT/security agar akun dan sistem terkait dapat diperiksa.

Kecepatan respons sangat penting. Semakin cepat kredensial yang bocor diamankan, semakin kecil peluang penyerang mempertahankan akses.

Jadikan “Berhenti Sejenak” sebagai Kebiasaan

Email phising berhasil bukan semata-mata karena teknologi penyerang semakin canggih.

Sering kali, serangan berhasil karena korban melakukan sesuatu terlalu cepat.

Klik terlalu cepat.
Login terlalu cepat.
Menyetujui MFA terlalu cepat.
Membalas email terlalu cepat.

Karena itu, salah satu pertahanan paling sederhana sebenarnya tidak membutuhkan software tambahan.

Berhenti sejenak sebelum bertindak.

Jika sebuah email benar-benar penting, biasanya Anda masih memiliki waktu untuk memverifikasinya.

Dan jika sebuah email memaksa Anda bertindak sekarang juga, justru itulah alasan untuk lebih berhati-hati.

Email yang Terlihat Normal Bisa Menjadi Awal Masalah

Kasus phising yang menyamar sebagai RingCentral menunjukkan bagaimana penyerang dapat memanfaatkan layanan yang sudah dikenal pengguna untuk membangun kepercayaan.

Target akhirnya bukan sekadar membuat korban membuka email, tetapi mendapatkan akses terhadap akun Microsoft 365 dan informasi yang berada di dalamnya.

Sementara itu, skala kampanye yang ditemukan Microsoft menunjukkan bahwa serangan semacam ini dapat dilakukan terhadap puluhan ribu hingga ratusan ribu pengguna sekaligus.

Karena itu, jangan mengukur keamanan sebuah email hanya dari tampilannya.

Email yang terlihat profesional belum tentu aman.
Email yang menggunakan nama layanan terkenal belum tentu aman.
Dan email yang tidak memiliki kesalahan ejaan pun belum tentu aman.

Biasakan memeriksa konteks, jangan terburu-buru mengklik, dan jangan pernah memberikan kredensial hanya karena sebuah email memintanya.

Dalam menghadapi email phising, kewaspadaan bukan berarti takut membuka email. Kewaspadaan berarti tahu kapan harus berhenti sebelum satu klik berubah menjadi akses bagi penyerang.

Baca artikel lainnya: